Implementación segura de Director
Este artículo destaca las áreas que pueden afectar la seguridad del sistema al implementar y configurar Director.
Configurar Microsoft Internet Information Services (IIS)
Puede configurar Director con una configuración restringida de IIS.
Límites de reciclaje del grupo de aplicaciones
Puede establecer los siguientes límites de reciclaje del grupo de aplicaciones:
- Límite de memoria virtual: 4.294.967.295
- Límite de memoria privada: El tamaño de la memoria física del servidor StoreFront™
- Límite de solicitudes: 4.000.000.000
Extensiones de nombre de archivo
Puede deshabilitar las extensiones de nombre de archivo no listadas.
Director requiere estas extensiones de nombre de archivo en el filtrado de solicitudes:
- el .aspx
- el .css
- .html
- .js
- .png
- .svc
- .gif
- extensión .json
- extensión .woff
- .woff2
- .ttf
Director requiere los siguientes verbos HTTP en el filtrado de solicitudes. Puede denegar los verbos no listados.
- GET
- POST
- HEAD
Director no requiere:
- filtros ISAPI
- extensiones ISAPI
- Programas CGI
- Programas FastCGI
Importante:
- Director requiere confianza total (Full Trust). No establezca el nivel de confianza global de .NET en Alto o inferior.
- Director mantiene un grupo de aplicaciones independiente. Para modificar la configuración de Director, seleccione el sitio de Director y modifíquelo.
Configurar derechos de usuario
Cuando se instala Director, a sus grupos de aplicaciones se les concede lo siguiente:
- Derecho de inicio de sesión Iniciar sesión como servicio
- Privilegios Ajustar cuotas de memoria para un proceso, Generar auditorías de seguridad y Reemplazar un token de nivel de proceso
Los derechos y privilegios mencionados son un comportamiento de instalación normal cuando se crean grupos de aplicaciones.
No es necesario cambiar estos derechos de usuario. Director no utiliza estos privilegios y se deshabilitan automáticamente.
Comunicaciones de Director
En un entorno de producción, utilice los protocolos de seguridad de protocolo de Internet (IPsec) o HTTPS para proteger los datos que pasan entre Director y sus servidores.
IPsec es un conjunto de extensiones estándar del Protocolo de Internet que proporciona comunicaciones autenticadas y cifradas con integridad de datos y protección contra repeticiones. Dado que IPsec es un conjunto de protocolos de capa de red, los protocolos de nivel superior pueden usarlo sin modificaciones. HTTPS utiliza los protocolos de Seguridad de la capa de transporte (TLS) para proporcionar un cifrado de datos sólido.
Nota:
- Citrix® recomienda encarecidamente que restrinja el acceso a la consola de Director dentro de la red de intranet.
- Citrix recomienda encarecidamente que no habilite conexiones no seguras a Director en un entorno de producción.
- Las comunicaciones seguras desde Director requieren una configuración independiente para cada conexión.
- No se recomienda el protocolo SSL. En su lugar, utilice el protocolo TLS, que es más seguro.
- Proteja sus comunicaciones con Citrix ADC mediante TLS, no IPsec.
Para proteger las comunicaciones entre Director y los servidores de Citrix Virtual Apps and Desktops (para supervisión e informes), consulte Seguridad de acceso a los datos.
Para proteger las comunicaciones entre Director y Citrix ADC (para Citrix Insight), consulte Configurar el análisis de red.
Para proteger las comunicaciones entre Director y el servidor de licencias, consulte Proteger la consola de administración de licencias.
Separación de seguridad de Director
Puede implementar cualquier aplicación web en el mismo dominio web (nombre de dominio y puerto) que Director. Sin embargo, cualquier riesgo de seguridad en esas aplicaciones web puede reducir potencialmente la seguridad de su implementación de Director. Cuando se requiere un mayor grado de separación de seguridad, Citrix recomienda implementar Director en un dominio web independiente.